„Der Satz ‚Unsere Praxis ist zu klein, um Ziel von Hackern zu werden‘ ist leider ein gefährlicher Irrtum.“ Das stellt das Bundesamt für Sicherheit in der Informationstechnik (BSI) unmissverständlich klar: „Gerade haus- und allgemeinärztliche Praxen arbeiten mit hochsensiblen Gesundheitsdaten und sind deshalb attraktive Ziele“, so ein Sprecher aus dem Referat für Gesundheits- und Finanzwesen des BSI.
Anfang des Jahres wurde eine Praxis in Rheinland-Pfalz Opfer eines Phishing-Angriffs. Über eine gefälschte E-Mail übernahmen Angreifer das Postfach einer Mitarbeiterin und versuchten anschließend, alle Empfängerinnen und Empfänger per Spear-Phishing zu betrügerischen Zahlungen zu verleiten. Anders als beim breit gestreuten klassischen Phishing handelt es sich beim Spear-Phishing um gezielte Angriffe auf einzelne Personen oder Organisationen – die Nachrichten wirken durch echte Namen, Praxisbezug und einen vertrauten Absender besonders glaubwürdig und sind entsprechend schwerer zu erkennen.
In einem anderen Fall in Brandenburg gingen nach einem Hackerangriff sämtliche Patientendaten verloren. Die Akten aller rund 8.000 Patientinnen und Patienten mussten neu angelegt werden (vgl. Landesbeauftragte für den Datenschutz und für das Recht auf Akteneinsicht (LDA Brandenburg), Tätigkeitsbericht 2025, S. 47 f.).
Auch der Cyberangriff auf den Abrechnungsdienstleister Unimed im April 2026, von dem u. a. Unikliniken betroffen waren, zeigt: Das Risiko lauert nicht nur in der eigenen Praxis, sondern auch bei externen Dienstleistern.
Vor diesem Hintergrund hat der Gesetzgeber die Anforderungen an die IT-Sicherheit in Praxen mit der IT-Sicherheitsrichtlinie nach § 390 SGB V (vormals § 75b SGB V) verschärft und konkretisiert.
Der rechtliche Rahmen
Die Kassenärztliche Bundesvereinigung (KBV) ist gesetzlich verpflichtet, gemeinsam mit der Kassenzahnärztlichen Bundesvereinigung (KZBV) und im Einvernehmen mit dem BSI eine Richtlinie zur IT-Sicherheit in der vertragsärztlichen und vertragszahnärztlichen Versorgung zu erstellen. Rechtsgrundlage ist § 390 SGB V, eingeführt durch das Digital-Gesetz (DigiG) vom 26. März 2024 als Nachfolger des bisherigen § 75b SGB V.
Die Richtlinie selbst gilt bereits seit 2021, wurde aber 2025 umfassend überarbeitet. Ein Teil der neuen Anforderungen – u. a. zu Schulungen, Patch-Management, E-Mail-Sicherheit und Cloud-Diensten – ist seit dem 1. Oktober 2025 im Bereich der KBV verbindlich umzusetzen, im Bereich KZBV seit dem 2. Januar 2026.
Wichtig für die Praxis: Die Richtlinie steht nicht isoliert. Sie konkretisiert die technischen und organisatorischen Maßnahmen aus Art. 32 DSGVO und ist damit eng mit den datenschutzrechtlichen Pflichten verzahnt – etwa der Meldepflicht für Datenpannen innerhalb von 72 Stunden nach Art. 33 DSGVO.
Für wen gilt was – die drei Praxisgrößen
Die Richtlinie unterscheidet nicht pauschal, sondern staffelt die Anforderungen nach der Größe der Praxis, gemessen an der Zahl der ständig mit der Datenverarbeitung betrauten Personen. Wer genau darunterfällt, definiert die Richtlinie jedoch nicht abschließend. Nach unserer Einschätzung sollten dazu neben Ärztinnen und Ärzten sowie medizinischen Fachangestellten auch Verwaltungs- und Abrechnungspersonal sowie regelmäßig eingesetztes Fremdpersonal mit Systemzugriff (z. B. externe IT-Dienstleister mit dauerhaftem Zugang) zählen – kurzfristige oder gelegentliche Zugriffe eher nicht. Da eine offizielle Klarstellung fehlt, empfehlen wir im Zweifel eine großzügige Auslegung. Lieber eine Person zu viel als zu wenig mitzählen und dadurch in eine höhere Praxiskategorie fallen, als sich auf eine zu enge Auslegung zu verlassen und im Ernstfall Anforderungen zu verfehlen:
- Praxis
- bis 5 Personen
- zu erfüllen: Basisanforderungen
- Mittlere Praxis
- 6 bis 20 Personen
- zu erfüllen: Basisanforderungen + erweiterte Anforderungen
- Großpraxis
- über 20 Personen oder erheblicher Datenverarbeitungsumfang (z. B. Groß-MVZ, Groß-Labore)
- zu erfüllen: Basisanforderungen + erweiterte Anforderungen + zusätzliche Anforderungen
Wer medizinische Großgeräte einsetzt – etwa CT, MRT oder Linearbeschleuniger – muss unabhängig von der Praxisgröße zusätzliche Anforderungen aus Anlage 4 der Richtlinie erfüllen. Dabei handelt es sich um eigene, gerätespezifische Vorgaben, die neben und unabhängig von den größenabhängigen Anforderungen für Großpraxen gelten. Da nahezu jede Praxis an die Telematikinfrastruktur (TI) angeschlossen ist, betreffen auch die Anforderungen an die dezentralen Komponenten (Anlage 5) im Grunde alle Praxen. Hier geht es vor allem um die korrekte Installation und den sicheren Betrieb von Konnektor und TI-Gateway nach den Vorgaben der Gematik und der Gerätehersteller sowie den Schutz vor unberechtigtem physischem Zugriff auf die TI-Komponenten. Falls parallel zur TI-Anbindung eine reguläre Internetverbindung besteht, ist außerdem eine zusätzliche Netzabsicherung notwendig.
Die wichtigsten Handlungsfelder im Überblick
Die Richtlinie listet im Detail rund 50 (Basis-)Einzelanforderungen auf. Für den Praxisalltag lassen sich diese zu folgenden Handlungsfeldern zusammenfassen:
Personal & Sensibilisierung
Strukturierte Einarbeitung, konsequenter Zugriffsentzug bei Ausscheiden aus der Praxis, regelmäßige Schulungen. Dies ist besonders wichtig, da Angriffe wie der eingangs geschilderte Phishing-Fall gezielt beim Menschen ansetzen. Schon eine kurze, regelmäßige Sensibilisierung senkt das Risiko erheblich, weil sie Mitarbeitende in die Lage versetzt, verdächtige E-Mails oder Anrufe überhaupt erst zu erkennen.
Die ÄrzteZeitung empfiehlt zur weiteren Absicherung die Delegation an einen Digi-Manager bzw. eine Digi-Managerin.
Technische Basissicherheit
Firewall, aktueller Virenschutz, zeitnahe Updates, Isolierung veralteter Systeme sowie regelmäßige, geprüfte Datensicherungen (Backups). Backups sichern vor allem die Verfügbarkeit der Patientendaten. Ohne regelmäßig getestete Backups kann ein einzelner Vorfall, wie im genannten Beispiel aus Brandenburg, den kompletten Datenbestand einer Praxis vernichten. Zeitnahe Updates und ein funktionierendes Patch-Management schützen dagegen Vertraulichkeit und Integrität der Daten, da veraltete Systeme bekannte Sicherheitslücken offenlassen, über die Angreifer unbemerkt Daten einsehen oder verändern können. Beide Aspekte sind bei Patientendaten gleichermaßen wichtig und sollten nicht gegeneinander priorisiert werden.
Endgeräte & mobile Geräte
Zugriffsschutz auf Rechnern, sicher konfigurierte Smartphones/Tablets, PIN-Pflicht für SIM-Karten sowie klare Regeln für den Verlustfall. Der Klassiker: Der Rechner am Empfang oder im Behandlungszimmer, der auch nach Verlassen des Arbeitsplatzes entsperrt bleibt. Dieses an sich einfach zu behebende Verhalten zählt zu den häufigsten Sicherheitslücken und sollte entsprechend priorisiert angegangen werden.
E-Mail- & Cloud-Sicherheit
Sicher konfigurierte E-Mail-Clients, Anhangsprüfung und deaktivierte aktive HTML-Inhalte – genau hier setzen die meisten Phishing-Angriffe an. Ergänzend sollten Mitarbeitende dazu angehalten werden, verdächtige Links generell nicht zu öffnen und auf unerwünschte E-Mails nicht zu antworten. Cloud-Anbieter für Sozial- oder Gesundheitsdaten benötigen ein aktuelles C5-Testat – ein vom BSI entwickelter Prüfnachweis, der die Cloud-Sicherheit eines Anbieters durch ein unabhängiges Audit bestätigt. Vor der Auswahl eines Cloud-Anbieters lohnt sich daher ein Blick darauf, ob ein solches Testat vorliegt.
Kontinuierlicher Verbesserungsprozess
Jährliche Evaluationspflicht statt einmaligem Projekt. Die Richtlinie verlangt, dass Praxen ihre Maßnahmen regelmäßig an der aktuellen Sicherheitslage ausrichten. Neue Bedrohungen, neue Systeme oder personelle Veränderungen können also dazu führen, dass bereits umgesetzte Maßnahmen angepasst werden müssen. IT-Sicherheit ist somit keine einmal erledigte Aufgabe, sondern ein Prozess, der sich am besten in feste, wiederkehrende Routinen einbetten lässt. Dafür bietet sich ein jährlicher Termin an, bei dem Schulungsstand, technische Maßnahmen und offene Punkte gemeinsam durchgegangen werden.
Was passiert im Ernstfall – und was, wenn die Vorgaben nicht eingehalten wurden?
Kommt es trotz aller Vorkehrungen zu einem Sicherheitsvorfall, greifen zusätzlich die datenschutzrechtlichen Meldepflichten. Meldepflichtige Datenpannen müssen innerhalb von 72 Stunden der zuständigen Aufsichtsbehörde mitgeteilt werden. Das BSI stellt Praxen dafür ergänzend eine IT-Notfallkarte zur Verfügung, die im Ernstfall die wichtigsten Sofortmaßnahmen zusammenfasst.
Die Richtlinie nach § 390 SGB V selbst sieht laut KZBV keine eigenen Sanktionen vor. Das bedeutet aber nicht, dass ein Verstoß folgenlos bleibt. Zum einen greift bei einem Sicherheitsvorfall die DSGVO mit ihrem Bußgeldrahmen, zum anderen können die Kassenärztlichen Vereinigungen Prüfverfahren einleiten. Laut einem Rundschreiben der KV Baden-Württemberg drohen bei Nichteinhaltung Bußgelder von bis zu 100.000 Euro oder Honorarkürzungen. Praxen sollten die Umsetzung der Anforderungen daher nicht nur aus Sicherheitsgründen, sondern auch zur Absicherung gegenüber solchen Konsequenzen umsetzen.
Der Fall des Abrechnungsdienstleisters Unimed zeigt zudem, dass auch Angriffe auf externe Dienstleister Praxen unmittelbar betreffen können. Die Sorgfaltspflicht endet also nicht an der eigenen Netzwerkgrenze, sondern schließt die Absicherung der Zusammenarbeit mit Dritten mit ein.
Wo Sie jetzt ansetzen können
Die IT-Sicherheitsrichtlinie nach § 390 SGB V macht verbindlich, was ohnehin gute Praxis sein sollte: ein Mindestniveau an technischer und organisatorischer Sicherheit, gestaffelt nach der Größe und Komplexität der Praxis. Wenn Sie unsicher sind, wo Sie anfangen sollen, können drei Maßnahmen besonders schnell Wirkung zeigen: eine kurze, verbindliche Sensibilisierung des Teams für Phishing-Mails, die konsequente Bildschirmsperre an allen Arbeitsplätzen sowie das regelmäßige Einspielen von System- und Software-Updates – erfahrungsgemäß sind dies die Punkte mit dem besten Verhältnis von Aufwand zu Wirkung.
Der beste erste Schritt für eine umfassende Bestandsaufnahme ist eine ehrliche Standortbestimmung. Das BSI hat dafür extra einen Quick-Check entwickelt, der genau auf die Anforderungen dieser Richtlinie zugeschnitten ist. Die Broschüre „IT-Sicherheit in Arzt-, Zahnarzt- und Psychotherapiepraxen“ enthält einen Selbstcheck, der bewusst niederschwellig gehalten ist und sich auch ohne IT-Vorkenntnisse in wenigen Minuten durchgehen lässt.
Wer dabei feststellt, dass noch Lücken bestehen, ist damit nicht allein. Die Umsetzung der Anforderungen – von Risikobewertung bis zur praxisgerechten Dokumentation – lässt sich mit externer Unterstützung erheblich effizienter gestalten.
Eines zeigt der Blick auf die Anforderungen deutlich: Informationssicherheit ist kein Sonderprojekt, sondern lässt sich Schritt für Schritt in den Praxisalltag integrieren. Jede einzelne Maßnahme macht Ihre Praxis, Ihr Team und Ihre Patientinnen und Patienten ein Stück sicherer.
Keine Kommentare